Sql like golang?

Question

[M L]

Как записать вот такую запись безопасно: q = "%first page%"

db.Query("SELECT * FROM `page` WHERE `title` LIKE ?", q)

Или как-то так можно?

db.Query("SELECT * FROM `page` WHERE `title` LIKE '%?%'", q)

Answer 1

[Melkij]

Знаки % должны быть именно в данных. Поэтому либо на стороне приложения добавляете по краям строки %
Либо на стороне sql собираете:

db.Query("SELECT * FROM `page` WHERE `title` LIKE concat('%', ?, '%')", q)

Comments

[M L]

на сколько Ваш вариант безопасен? пользователь не сможет например закинуть сам в q "%"?

[Melkij]

Сможет, разумеется. А чем это помешает? Может быть вам не нужна такая логика и хотите искать именно знак процента. Для безопасности - без разницы.
Варианты безопасны, если ваш драйвер внятно выполняет либо prepared statements либо экранирование.